Votre DSPM a trouvé les données. Et maintenant ? Le maillon manquant de la protection des données en entreprise

La vérité qui dérange sur la gestion de la posture de sécurité des données

Toutes les équipes de sécurité font face au même dilemme. Votre plateforme de gestion de la posture de sécurité des données (DSPM) a répertorié chaque fichier sensible de votre organisation. Vous savez exactement où se trouvent les données clients, quelles bases de données contiennent la propriété intellectuelle, et qui accède aux dossiers financiers. Les tableaux de bord impressionnent lors des réunions du conseil d’administration.

Mais voici ce qui empêche les RSSI de dormir : savoir où se trouvent les données privées ne les empêche pas de sortir de l’entreprise. Les outils DSPM excellent dans la découverte et l’étiquetage, mais restent impuissants lorsque quelqu’un télécharge un document confidentiel de fusion, l’envoie sur une boîte mail personnelle ou collabore dessus via un stockage cloud non sécurisé.

C’est dans l’écart entre visibilité et contrôle que surviennent la plupart des violations de données. Les organisations investissent massivement pour cartographier leurs données, mais voient tout de même des informations privées s’échapper lors d’activités courantes comme le partage sécurisé de fichiers, la collaboration externe ou le télétravail.

Que se passe-t-il après l’étiquetage DSPM

Lorsque les plateformes DSPM analysent votre environnement, elles dressent un inventaire détaillé des actifs privés. Les tableurs financiers sont marqués « Confidentiel », les bases de données clients reçoivent l’étiquette « Restreint » et les fichiers de propriété intellectuelle sont signalés « Interne uniquement ». Ces étiquettes dressent un panorama clair des risques liés à vos données.

Cependant, ces étiquettes ne sont que des métadonnées. Elles ne s’appliquent pas d’elles-mêmes. Un tableur marqué « Confidentiel » peut toujours être téléchargé sur un ordinateur personnel, imprimé sur une imprimante non sécurisée ou envoyé vers un cloud grand public. L’étiquette offre de la visibilité, mais aucune protection lors des moments cruciaux : quand les données circulent et sont utilisées.

Cette limite devient particulièrement problématique lors de la collaboration externe. Les entreprises doivent partager des informations privées avec des partenaires, fournisseurs, clients ou sous-traitants. Le DSPM peut identifier les fichiers à ne pas partager à l’externe, mais il ne peut pas empêcher quelqu’un de les envoyer par e-mail ou de contrôler leur utilisation une fois partagés.

Conséquences concrètes du manque de protection DSPM

Prenons un scénario courant : votre service juridique doit collaborer avec un cabinet externe sur un accord de fusion contenant des données financières très sensibles. Le DSPM a bien étiqueté ce document comme « Restreint » et précisé que seuls certains dirigeants y ont accès. Mais la réalité impose que des avocats externes le consultent, le modifient et le commentent.

Les approches traditionnelles imposent des choix impossibles. Envoyer le document par e-mail fait perdre tout contrôle sur son usage. Exiger que les parties externes se déplacent pour collaborer sur site nuit à la productivité. Utiliser des services de partage grand public viole vos propres règles de sécurité. Aucune de ces options ne répond à la fois aux exigences métier et sécurité.

Ce dilemme se répète dans tous les secteurs. Les industriels font relire leurs plans à des fournisseurs. Les établissements de santé partagent des données patients avec des spécialistes. Les institutions financières collaborent avec des auditeurs sur des rapports privés. À chaque fois, le DSPM pose la base de l’étiquetage, mais les organisations manquent de technologie pour garder le contrôle lors de l’utilisation réelle.

Les organisations font face à un choix impossible : enfreindre leurs règles de sécurité en utilisant des méthodes de partage non sécurisées, ou freiner l’activité en restreignant l’accès à des informations dont les tiers ont réellement besoin. Ce fossé entre visibilité et contrôle crée les conditions idéales pour les fuites de données, non pas à cause d’attaques sophistiquées, mais à cause des besoins métiers quotidiens.

Comment la protection des données en entreprise devrait fonctionner

La solution consiste à relier les capacités de découverte du DSPM à une technologie d’application de politiques. Plutôt que de compter sur le respect des consignes, les organisations ont besoin de systèmes qui appliquent automatiquement des règles basées sur les étiquettes lorsque les utilisateurs partagent des données privées via des canaux sécurisés.

Il s’agit donc de créer des environnements sécurisés où les données privées peuvent être consultées, modifiées et partagées sans jamais sortir du contrôle de l’organisation. Lorsqu’un utilisateur partage un fichier via une plateforme sécurisée, le système applique automatiquement les restrictions adaptées selon le rôle du destinataire, la sécurité de son appareil et le contexte métier.

Une protection efficace des données exige aussi un contrôle granulaire sur les actions : accès en lecture seule pour certains, droits de modification pour d’autres, blocage du téléchargement, de l’impression ou de la capture d’écran selon l’étiquetage et les besoins métier. Ces contrôles doivent s’appliquer à tous les formats de fichiers et applications, sans perturber l’activité.

L’approche Réseau de données privé de Kiteworks

Kiteworks répond à ce défi grâce à son Réseau de données privé, qui crée une plateforme sécurisée pour l’acheminement des communications de contenu privé. Plutôt que d’envoyer les fichiers directement entre utilisateurs, les organisations peuvent faire transiter les pièces jointes, transferts de fichiers et éditions collaboratives via l’architecture sécurisée du PDN lors du partage d’informations sensibles.

Le système s’intègre directement avec les plateformes DSPM existantes de fournisseurs comme Palo Alto Networks, Wiz ou Fortra. Lorsque les utilisateurs déposent un contenu étiqueté « Confidentiel » par le DSPM dans le PDN, la plateforme hérite automatiquement de cette étiquette et applique les politiques de sécurité correspondantes. Cela crée un pont entre la découverte des données et leur protection lorsque l’organisation choisit des canaux de partage sécurisés.

Le PDN repose sur le principe que le contexte doit guider les décisions de sécurité lors du partage via la plateforme. L’étiquetage DSPM du fichier, le rôle du destinataire, l’état de sécurité de son appareil, sa localisation réseau et la relation métier déterminent les actions autorisées. Un utilisateur accédant à des données financières confidentielles depuis un appareil géré sur le réseau de l’entreprise pourra avoir tous les droits d’édition, alors que le même utilisateur sur un appareil personnel à domicile n’aura qu’un accès en lecture seule.

Le système conserve des traces d’audit complètes de chaque interaction. Lorsque les régulateurs demandent qui a accédé à des dossiers patients ou que les auditeurs veulent vérifier la gestion de la propriété intellectuelle, les organisations disposent de journaux détaillés retraçant tout le cycle de vie du document.

DRM nouvelle génération : résoudre le problème des solutions héritées

Les solutions traditionnelles de gestion des droits numériques promettent de protéger les documents après leur sortie du contrôle de l’organisation, mais échouent souvent dans la pratique. Les DRM classiques nécessitent l’installation de logiciels, se brisent lors des mises à jour, ne fonctionnent qu’avec certains formats et offrent une expérience utilisateur si médiocre que les utilisateurs contournent les contrôles.

SafeEDIT adopte une approche radicalement différente. Plutôt que de chiffrer les fichiers en espérant que les appareils destinataires appliquent bien les restrictions, SafeEDIT conserve les documents privés sur des serveurs sécurisés et diffuse un flux vidéo interactif dans le navigateur de l’utilisateur. Le fichier d’origine ne quitte jamais l’environnement protégé, mais l’utilisateur peut consulter, modifier et collaborer comme si l’application tournait localement.

Cette technologie fonctionne avec toute application à interface graphique. Documents Microsoft Office, plans AutoCAD, PDF Adobe, applications métier ou logiciels spécialisés peuvent tous être partagés en toute sécurité via SafeEDIT. Puisque le système opère au niveau de l’interface utilisateur et non du format de fichier, il ne nécessite ni intégration spécifique ni mécanisme de protection par format.

L’expérience utilisateur est identique à une édition locale. SafeEDIT diffuse à 60 images/seconde avec une latence inférieure à 100 millisecondes, offrant une sensation d’édition native à distance. Les utilisateurs cliquent, saisissent et naviguent comme sur un logiciel installé, mais le document reste sécurisé dans l’environnement PDN.

Applications concrètes dans tous les secteurs

Les acteurs des services financiers utilisent cette approche pour collaborer en toute sécurité avec des auditeurs externes ou des cabinets juridiques. Plutôt que d’envoyer des états financiers ou rapports réglementaires, les banques les partagent via SafeEDIT avec accès limité dans le temps et autorisations d’édition selon le rôle. Les tiers peuvent consulter, annoter et suggérer des modifications sans jamais télécharger les documents d’origine.

Les industriels protègent leur propriété intellectuelle lors des collaborations avec les fournisseurs. Les plans propriétaires et cahiers des charges sont partagés via SafeEDIT avec restriction d’impression et blocage des captures d’écran. Les fournisseurs accèdent aux informations techniques et ajoutent leurs remarques sans que les plans originaux ne quittent l’environnement sécurisé.

Les établissements de santé assurent la conformité HIPAA lors de consultations multi-spécialistes. Les experts consultent les dossiers patients, images médicales et plans de traitement via SafeEDIT, avec des traces d’audit précisant qui a accédé à quoi et quand. La technologie permet une prise en charge collaborative tout en garantissant la protection des données.

Les sous-traitants de l’État collaborent sur des documents privés à plusieurs niveaux d’autorisation. Chaque membre accède aux informations selon son niveau, le système masquant automatiquement les sections sensibles. Toutes les interactions sont tracées pour les contrôles de sécurité et d’audit.

Combler le fossé DSPM : un workflow complet

L’intégration entre la découverte DSPM et la protection PDN crée un workflow de sécurité optimal lorsque l’organisation adopte des pratiques de partage sécurisé. Les plateformes DSPM analysent en continu les dépôts et appliquent des étiquettes selon le contenu, la réglementation et les règles métier. Ces étiquettes sont transmises au PDN lors du partage via la plateforme sécurisée, où elles pilotent les décisions d’accès et les restrictions d’usage.

Lorsqu’un fichier étiqueté est chargé dans le PDN pour partage, la plateforme évalue les contrôles de sécurité adaptés. Les destinataires internes autorisés obtiennent un accès complet, tandis que les tiers externes bénéficient d’un accès en lecture seule, limité dans le temps, avec filigrane et restrictions de téléchargement. Le système applique ces contrôles automatiquement selon l’étiquetage DSPM et le profil du destinataire.

Lors de l’édition collaborative, SafeEDIT impose des restrictions en temps réel. Les opérations de copier-coller sont contrôlées, autorisant les déplacements internes au document mais bloquant les transferts vers des applications externes. L’enregistrement d’écran et les captures sont désactivés, empêchant toute extraction non autorisée. Les sessions expirent automatiquement pour limiter l’accès à la durée nécessaire.

Toutes les interactions alimentent le moteur analytique DSPM, créant une boucle d’amélioration continue. Les usages affinent la précision de l’étiquetage, les violations de règles orientent la formation sécurité, et l’analyse de la collaboration optimise les processus métier. Résultat : une stratégie de protection des données qui s’adapte à l’évolution des besoins tout en maintenant le niveau de sécurité requis.

Mesurer l’efficacité de la protection

Les organisations qui adoptent cette approche intégrée suivent généralement plusieurs indicateurs clés pour mesurer le succès. Les incidents de fuite de données constituent le principal indicateur, en comparant les partages non autorisés avant et après la mise en place. La plupart constatent une forte baisse des partages externes incontrôlés dès que des alternatives sécurisées sont disponibles.

Le taux de conformité aux politiques est un autre indicateur important. Les organisations peuvent mesurer la fréquence à laquelle les utilisateurs respectent les procédures de partage sécurisé par rapport aux méthodes non sécurisées comme les pièces jointes e-mail ou le cloud grand public. Un taux élevé indique que les alternatives sécurisées sont suffisamment pratiques au quotidien.

Les indicateurs d’impact métier justifient l’investissement dans la protection des données. Le temps nécessaire pour finaliser une collaboration externe, la satisfaction des partenaires vis-à-vis des processus de partage et la productivité des équipes à distance montrent si la sécurité nuit ou non à l’efficacité.

Les indicateurs techniques garantissent que l’infrastructure répond aux besoins métier. Disponibilité du système, temps de réponse des sessions et scores d’expérience utilisateur valident que la technologie offre les performances attendues tout en assurant la sécurité.

Questions fréquentes sur l’après-DSPM

Les organisations qui envisagent cette approche s’interrogent souvent sur la complexité d’intégration avec leurs investissements DSPM existants. L’architecture PDN est conçue pour compléter, et non remplacer, les plateformes de découverte de données. Les étiquettes et métadonnées transitent sans friction des systèmes DSPM vers les contrôles d’accès du PDN, sans migration ni double configuration.

Des questions de performance se posent parfois sur l’édition dans le navigateur par rapport aux applications locales. Les déploiements réels démontrent que les utilisateurs ne font généralement pas la différence entre une session SafeEDIT et une édition locale une fois le système testé. La technologie de streaming offre des performances natives sans les compromis de sécurité du partage traditionnel.

Les équipes conformité veulent savoir comment cette approche impacte le reporting réglementaire et les audits. La journalisation détaillée du PDN simplifie en réalité la conformité, en fournissant des historiques précis de qui a accédé à quoi, quand et avec quelles actions. Cette traçabilité dépasse souvent les exigences réglementaires et réduit l’effort de reporting.

Les dirigeants s’interrogent sur l’acceptation de la collaboration dans le navigateur par les partenaires externes, au lieu de recevoir des copies de fichiers. En pratique, la plupart préfèrent l’approche sécurisée une fois ses avantages compris : collaboration immédiate sans installation, gestion automatique des accès, et aucune responsabilité liée à la sécurisation des documents privés sur leurs propres systèmes.

Business case pour une protection totale des données

Le coût des violations de données ne cesse d’augmenter, avec des études récentes montrant un coût moyen supérieur à 4,88 millions de dollars pour une entreprise. Les amendes réglementaires ajoutent un risque financier supplémentaire, de centaines de milliers à plusieurs dizaines de millions selon la juridiction et la nature des données. Ces coûts réactifs dépassent largement l’investissement dans une protection proactive.

Au-delà de l’impact financier direct, les violations de données nuisent à la confiance des clients, à la compétitivité et aux relations d’affaires. Une organisation victime de vol de propriété intellectuelle peut perdre des avantages acquis sur plusieurs années. Les prestataires de santé mettent en danger la sécurité des patients si les dossiers sont compromis. Les institutions financières risquent des sanctions qui peuvent limiter leur activité.

L’approche intégrée DSPM et PDN transforme la protection des données, passant d’une logique réactive à une capacité proactive. Plutôt que de compter sur la formation et les politiques pour éviter les fuites, les organisations appliquent automatiquement la protection basée sur les étiquettes lors de l’utilisation de canaux sécurisés. Ce passage d’une sécurité basée sur les politiques à une sécurité imposée par la technologie réduit concrètement les risques et démontre la diligence requise aux régulateurs et partenaires.

Perspectives : l’évolution de la sécurité des données en entreprise

La sécurité des données évolue d’une protection périmétrique vers des modèles centrés sur la donnée. Les approches traditionnelles sécurisaient réseaux et terminaux, mais l’activité moderne exige que les données circulent librement tout en restant protégées. Le DSPM fournit la base de visibilité de cette transition, tandis que des technologies comme le PDN et SafeEDIT apportent les mécanismes de contrôle.

Cette évolution reflète des changements profonds dans l’organisation du travail. Télétravail, adoption du cloud et collaboration externe sont désormais la norme, et non des défis temporaires à gérer. Les architectures de sécurité doivent intégrer ces réalités tout en offrant une protection supérieure à celle des approches périmétriques.

La combinaison de la découverte automatisée, de l’étiquetage intelligent et de l’application des politiques crée des fonctions de sécurité qui évoluent avec la croissance de l’entreprise. À mesure que l’organisation adopte de nouvelles applications, conquiert de nouveaux marchés ou développe de nouveaux modèles de partenariat, sa stratégie de protection s’adapte automatiquement, sans revue manuelle à chaque décision.

Passer de la découverte à la protection

Le DSPM représente une étape fondamentale pour comprendre le paysage des données de l’organisation. La visibilité et l’étiquetage posent les bases essentielles de toute stratégie de sécurité des données. Mais la visibilité seule ne suffit pas à relever le défi majeur : protéger les données lors des activités métier qui génèrent le plus de risques.

L’intégration de l’étiquetage DSPM avec l’application des politiques PDN crée un cycle complet de sécurité des données. Les organisations peuvent enfin partager des informations privées en toute confiance, sachant que les restrictions adéquates seront appliquées, quel que soit l’utilisateur ou sa localisation. Cette capacité favorise la croissance tout en maintenant la conformité réglementaire et en protégeant les avantages concurrentiels.

La vraie question pour les responsables sécurité n’est pas de savoir si une meilleure protection est nécessaire, mais s’ils sont prêts à transformer leur investissement DSPM d’un simple outil de visibilité en une solution de sécurité complète qui protège les données tout au long de leur cycle de vie métier. La technologie existe pour combler ce fossé et bâtir des stratégies de protection qui accompagnent la réussite de l’entreprise au lieu de la freiner.

Ressources complémentaires

• Article de blog Zero Trust Architecture : Never Trust, Always Verify
• Vidéo Comment Kiteworks fait progresser le modèle Zero Trust de la NSA au niveau des données
• Article de blog Étendre le Zero Trust à la couche contenu : ce que cela signifie
• Article de blog Instaurer la confiance dans l’IA générative grâce à l’approche Zero Trust
• Vidéo Kiteworks + Forcepoint : démonstration de la conformité et du Zero Trust à la couche contenu